AWS CloudTrail ログを Microsoft Defender for Cloud と統合する (プレビュー)

Microsoft Defender for Cloudは、Amazon Web Services(AWS)のCloudTrail管理イベントを収集し、AWS環境におけるアイデンティティ操作、権限変更、その他のコントロールプレーン活動の可視性を高めることができます。

CloudTrailの取り込みは、活動ベースのシグナルをDefender for CloudのCloud Infrastructure Entitlement Management(CIEM)機能に追加し、設定されたアイデンティティエンタイトルメントだけでなく、観察された使用状況に基づいてアイデンティティや権限リスクの分析を可能にします。

CloudTrailの取り込みは、未使用権限、誤設定された役割、休眠状態のアイデンティティ、潜在的な権限昇格経路を特定することでCIEMを強化します。 また、構成ドリフトの検出、セキュリティに関する推奨事項、攻撃パス分析を強化するアクティビティ コンテキストも提供します。

CloudTrail インジェストは、一元的なログ記録を使用する単一の AWS アカウントと AWS 組織で使用できます。

前提条件

CloudTrailの取り込みを有効にする前に、あなたのAWSアカウントに以下が含まれていることを確認してください:

• Microsoft Defender クラウド セキュリティ態勢管理 プランはAzureサブスクリプションで有効化されています。 「Defender CSPM プランを使用可能」を参照してください。

• AWS CloudTrail にアクセスするためのアクセス許可。

• CloudTrail ログ ファイルを格納する Amazon S3 バケットへのアクセス。

• そのバケットに関連付けられている Amazon SQS キュー通知へのアクセス。

• CloudTrail ログが暗号化されている場合は、AWS KMS キーにアクセスします。 AWS KMS を使用した CloudTrail ログ ファイルの暗号化を参照してください。

• 新しい証跡をプロビジョニングする場合に備えて、CloudTrail 証跡や必要なリソースの作成または変更を行うためのアクセス許可。

• 管理イベントをログに記録するように構成された CloudTrail。 CloudTrail を使用した管理イベントのログ記録を参照してください。

CloudTrail インジェストを構成する

AWSコネクターのCloudTrailインジェスションを有効にするには、以下の手順に従ってください:

1. Azure portal にサインインする

2. Microsoft Defender for Cloud>Environment settings に移動します。

3. 設定したいAWSコネクタを選択してください。

4. 監視 対象範囲で、[ 設定] を開きます。

5. AWS CloudTrailの取り込み(プレビュー)を有効にしてください。 この設定は、セットアップワークフローにCloudTrailの設定オプションを追加します。

   

6. 既存の CloudTrail 証跡と統合するか、新しい証跡を作成するかを選択します。

   • 既存の CloudTrail 証跡を使用するには、[ 手動で証跡の詳細を指定 する] を選択します。

     1. 既存のトレイルに関連付けられた Amazon S3 バケット ARN と SQS キュー ARN を入力してください。
     2. メッセージが表示されたら、Defender for Cloudによって提供される CloudFormation スタックをデプロイまたは更新します。

     注

     既存の証跡を選択すると、Defender for Cloud は、CloudTrail 管理イベントの最大 90 日分の履歴を一度に収集します。 CloudTrailの取り込みを無効にすると、一度きりの履歴データ収集で収集された過去のデータが削除されます。 CloudTrail インジェストを再度有効にすると、新しい履歴データ収集がトリガーされます。

   • Create a new AWS CloudTrail を選択して、新しいトレイルをプロビジョニングします。

     1. プロンプトが表示されたら、Defender for Cloudによって提供される CloudFormation または Terraform テンプレートをデプロイします。
     2. デプロイが完了したら、AWS コンソールで SQS キュー ARN を見つけます。
     3. Defender for Cloud に戻り、[SQS ARN] フィールドに SQS ARN を 入力します。

     

Defender for Cloud で CloudTrail データを使用する方法

構成が完了したら、次の手順を実行します。

• AWS CloudTrail は、AWS アカウントからの管理イベントを記録します。
• ログ ファイルは Amazon S3 バケットに書き込まれます。
• Amazon SQS は、新しいログが使用可能になると通知を送信します。
• Defender for Cloud は SQS キューをポーリングしてログ ファイル参照を取得します。
• Defender for Cloud は、ログ テレメトリを処理し、CIEM とポスチャの分析情報を強化します。

CloudTrail イベント セレクターをカスタマイズして、キャプチャする管理イベントを変更できます。

CloudTrail インジェストを検証する

CloudTrail テレメトリが Defender for Cloud に流れているかどうかを確認するには:

• S3 バケットで、ログ ファイルを読み取るための Defender for Cloud アクセス許可が付与されていることを確認します。
• SQS 通知が新しいログ配信用に構成されていることを確認します。
• IAM ロールが CloudTrail アーティファクトと暗号化されたオブジェクトへのアクセスを許可することを確認します。
• セットアップ後に Defender for Cloud の推奨事項と ID の分析情報を確認します。

CloudTrailの配信頻度やイベント量によって、信号の出現に時間がかかることがあります。

次のステップ